Per definizione, un account amministratore può fare qualsiasi cosa. Se vuoi impedire a qualcuno di eseguire alcune applicazioni, non fornire loro un account amministratore.
No, non in un modo che l'account amministratore possa sovrascrivere. OS X è basato su Unix e tutti gli amministratori del sistema hanno il privilegio sudo (eseguendo qualsiasi cosa come root) in modo che possano fare qualsiasi cosa.
Probabilmente c'è qualcosa che potrebbe far apparire una finestra popup, ma non sarebbe sicura.
Non puoi impedire ad un amministratore di avviare un'applicazione. Ciò che puoi fare è crittografare i dati utilizzati da tale applicazione in modo che l'amministratore non possa accedere a quei dati. Dai un'occhiata a Spionaggio che viene fornito con le impostazioni preconfigurate per casi di uso comune come Mail.app, ecc.
Leggi altre domande sui tag access-control network macosx